3 Oversikt over gjeldende rett
3.1 Yrkestransportloven
Yrkestransportloven inneholder som nevnt ingen egen generell hjemmel for behandling av personopplysninger. Det følger imidlertid av personvernforordningen at et det må foreligge et behandlingsgrunnlag som enten kan være samtykke, hjemmel i lov eller at behandlingen er «nødvendig for» ett eller flere alternative formål. Som nevnt ovenfor vurderer departementet at behandlingsgrunnlaget for personopplysninger er knyttet til personvernforordningen artikkel 6 nr. 1 bokstav e), der behandlingen er nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt.
Den som mot vederlag ønsker å drive nasjonal eller internasjonal person- eller godstransport med motorvogn eller fartøy, må ha løyve, jf. yrkestransportloven §§ 4 og 5. Krav om løyve gjelder både for enkeltpersonforetak og selskaper. Statens vegvesen er løyvemyndighet for gods- og turvogntransport med kjøretøy over 3,5 tonn, jf. yrkestransportloven § 12 første ledd. Fylkeskommunene er løyvemyndighet for drosjer, jf. § 12 annet ledd. Fylkeskommunen er løyvemyndighet for rutetransport med motorvogn eller fartøy, jf. yrkestransportloven § 13. For internasjonal transport er Statens vegvesen og departementet løyvemyndighet, jf. yrkestransportloven § 14.
For å få løyve må søkeren oppfylle visse krav. De generelle vilkårene følger av yrkestransportloven §§ 4 og 5. Søkeren må drive en fast og varig virksomhet i Norge, ha god vandel, ha tilfredsstillende økonomisk evne og ha tilstrekkelig faglig kompetanse. Det er fastsatt utfyllende bestemmelser i forskrift 26. mars 2003 om yrkestransport med motorvogn og fartøy (yrkestransportforskriften).
Yrkestransportloven kapittel 7A inneholder bestemmelser om kjøreseddel. Fører av drosje, turvogn og rutevogn, må ha kjøreseddel i tillegg til førerkort. Kjøreseddelen utstedes av politiet i det politidistriktet der vedkommende bor. For å få utstedt kjøreseddel må søkeren oppfylle samme helsekrav som stilles til førerkort klasse D og DE. Videre må søkeren være 20 år, ha hatt førerkort for klasse B i to år og ha slik vandel at politiet ikke finner vedkommende som uskikket til å være fører.
For å få tildelt løyve og kjøreseddel forutsettes det implisitt at det må registreres personopplysninger knyttet til tildelingen for at løyvemyndighetene skal kunne forvalte løyvehavernes og kjøreseddelinnehavernes rettigheter på en forsvarlig og effektiv måte. Videre framgår det av yrkestransportloven kapittel 8 at politiet og Statens vegvesen kan føre kontroll med at bestemmelsene i yrkestransportloven er overholdt. Det en forutsetning for at kontrollmyndighetene skal kunne utføre sin kontroll- og tilsynsvirksomhet etter loven at det både må foreligge registre over løyve og kjøreseddelopplysninger, og at dette må kunne anvendes i forbindelse med blant annet kontrollvirksomhet. Sensitive personopplysninger behandles i noen grad etter yrkestransportloven og er relatert til utstedelse av løyve og kjøreseddel ved at det er nødvendig å behandle opplysninger om helse og vandel.
Yrkestransportloven har også enkelte hjemler for å behandle personopplysninger innenfor avgrensede områder, herunder § 29 a som gir hjemmel for å opprette og drive et nasjonalt elektronisk register i tråd med kravene i forordning (EF) 1071/2009 om innføring av felles regler med hensyn til vilkårene som må oppfylles for å utøve yrket som transportør på vei, og om oppheving av rådsdirektiv 96/26/EF. Bestemmelsen gir også hjemmel for å utveksle opplysninger med andre EØS-land via registeret. Denne bestemmelsen knytter seg til behandling av konkrete opplysninger i registeret. Videre kan kontrollører etter yrkestransportloven § 33 innhente visse personopplysninger ved manglende betaling av billett for rutetransport.
3.2 Yrkestransportregelverkets bestemmelser om billettering
Elektronisk billettering på ferje kan foregå all den tid det skal foretas persontransport med fartøy i rute, jf. yrkestransportloven § 7. I tillegg følger det av alminnelige avtalerettslige prinsipper at dersom man går om bord på en ferje eller annet transportmiddel, må man betale for tjenesten.
I henhold til yrkestransportloven § 33 kan departementet i forskrift eller enkeltvedtak gi regler om transportvedtekter. Videre er det i yrkestransportforskriften § 30 en egen bestemmelse om billettering som både gjelder for buss og fartøy hvor løyvehaver er forpliktet til å bruke billettmaskiner, billetter, rabattkort og lignende etter et system godkjent av løyvemyndigheten, jf. første ledd. Etter annet ledd kan departementet fastsette nærmere retningslinjer for bruk av elektroniske billettsystemer.
Departementet viser også til forskriftshjemmelen i yrkestransportloven § 31 annet ledd hvor det forutsettes elektronisk billettering kan benyttes. Videre er det i forskrift om transport med ferje § 7 forutsatt at man må betale for transporten, enten ved reisebevis eller gyldig elektronisk/optisk betalingsmedium.
3.3 Personopplysningsloven
Behandling av personopplysninger reguleres av lov 15. juni 2018 nr. 38 om behandling av personopplysninger (personopplysningsloven), hvor personvernforordningen er implementert.
All behandling av personopplysninger må ha et rettslig grunnlag i personvernforordningen artikkel 6. Artikkel 6 angir alternative rettslige grunnlag for behandling av personopplysninger. Disse alternativene vil ikke bli redegjort for i det følgende. Behandling av særlige kategorier av personopplysninger er i utgangspunktet forbudt, med mindre behandlingen faller inn under ett av unntakene i artikkel 9 nr. 2.
Når det gjelder hvem som er behandlingsansvarlig, er følgende definert i personvernforordningen artikkel 4 nr. 7:
en fysisk eller juridisk person, en offentlig myndighet, en institusjon eller ethvert annet organ som alene eller sammen med andre bestemmer formålet med behandlingen av personopplysninger og hvilke midler som skal benyttes;
Videre er den behandlingsansvarliges ansvar særlig definert i og med personvernforordningen artikkel 24.
Behandling av personopplysninger skal gjennomføres etter prinsippene i artikkel 5 nr. 1. Det vil si at behandlingen av personopplysningene skal være lovlig, rettferdig og åpen. Opplysningene skal kun behandles innenfor formålet, det skal ikke behandles mer data enn nødvendig eller lagres lenger enn nødvendig. Dataene skal være korrekte og behandles med integritet og konfidensialitet.
Det kan utledes av personvernprinsippene at den behandlingsansvarlige ved valg av egnet behandlingsgrunnlag alltid skal velge det behandlingsgrunnlag som best ivaretar den registrertes interesser der flere behandlingsgrunnlag kan være aktuelle. Det vises særlig til prinsippet om rettferdighet, jf. artikkel 5 nr. 1 bokstav a.
Departementet viser for øvrig til Prop. 56 LS (2017–2018) s. 35 flg. om adgangen til å gi utfyllende nasjonale regler om behandling på grunnlag av artikkel 6 nr. 1 bokstav c og e, jf. artikkel 6 nr. 2 og 3.
Det følger av artikkel 9 nr. 1 at det i utgangspunktet ikke skal forekomme behandling av særlige kategorier personopplysninger. Unntakene fra forbudet følger av artikkel 9 nr. 2. For enkelte av unntaksbestemmelsene etter artikkel 9 nr. 2 forutsettes det at det er etablert lov- eller forskriftsbestemmelser som åpner for behandlingen. Det vises i denne forbindelse til forarbeidene til personopplysningsloven:1
Når det er opp til nasjonal rett å gjøre unntak fra forbudet i artikkel 9 nr. 1 i de tilfellene som omfattes av 9 nr. 2 bokstav b, g, h, i og j, legger departementet til grunn at det som utgangspunkt må foreligge en lov eller forskrift som åpner for behandling av særlige kategorier av personopplysninger. Departementet legger til grunn at bestemmelsene også kan utformes slik at de gir hjemmel for å tillate behandling av særlige kategorier av personopplysninger ved vedtak i enkelttilfeller.
Forordningen gir ikke noe klart svar på hvor klart eller spesifikt nasjonale bestemmelser som åpner for behandling av særlige kategorier av personopplysninger, må være. Når de nevnte bestemmelsene i artikkel 9 nr. 2 krever et «grunnlag» for behandlingen, eller at behandlingen er «tillatt», kan de etter sin ordlyd neppe sies å stille et ubetinget krav om at det alltid må foreligge en helt uttrykkelig og spesifikk lovhjemmel. […]
Når det gjelder personopplysninger om straffbare forhold mv., omfattes ikke disse av reglene om særlige kategorier av personopplysninger i personvernforordningen. Slike personopplysninger er særregulert i personvernforordningen artikkel 10. Bestemmelsen gjelder i tillegg til reglene om behandlingsgrunnlag i artikkel 6, og fastsetter nærmere vilkår for behandling av personopplysninger om straffedommer og lovovertredelser eller tilknyttede sikkerhetstiltak.
Bestemmelsen gir ikke anvisning på noen særlige krav for behandlinger av opplysninger om «straffedommer og lovovertredelser eller tilknyttede sikkerhetstiltak», såfremt behandlingen skjer under en offentlig myndighets kontroll. I Prop. 166 L (2020–2021) viser Justis- og beredskapsdepartementet til at vurderingen i slike tilfeller kun beror på artikkel 6.2 For de tilfeller der behandlingen derimot ikke skjer under en offentlig myndighets kontroll, kreves det at behandlingen er «tillatt i henhold til unionsretten eller medlemsstatenes nasjonale rett som sikrer nødvendige garantier for de registrertes rettigheter og friheter». I et slikt tilfelle, vil mottakeren måtte ha et hjemmelsgrunnlag i henhold til kravene etter artikkel 10 for både innhenting og viderebruk.3
3.4 Gjeldende behandlingsgrunnlag på ferjeområdet
3.4.1 Midlertidig lov om billettering på ferje som følge av utbrudd av covid-19
For å hindre at billettering på ferje skulle bli en kilde til spredning av covid-19 mellom passasjerer og mannskap på riksveiferjer, besluttet Statens vegvesen for statens del at det fra 15. mars 2020 var nødvendig å stanse all manuell betaling av ferjebilletter på riksveiferjene. Flere fylkeskommuner fattet tilsvarende beslutninger for sine respektive ferjesamband. Beslutningene var begrunnet med samfunnets behov for å holde ferjene åpne for trafikk.
De økonomiske konsekvensene av manglende billettinntekter for oppdragsgiverne var for store til at denne løsningen kunne benyttes over tid. Det ble derfor innført et midlertidig releverk for billettering på ferje.
Midlertidig lov om billettering på ferje ble vedtatt av Stortinget 26. mai 2020 og trådte i kraft 27. mai 2020. Da loven trådte i kraft ble samtidig midlertidig forskrift 3. april 2020 nr. 571 om billettering på ferje i anledning utbrudd av covid-19 opphevet.
Den midlertidige loven regulerer en alternativ billetteringsordning på de offentlige ferjesambandene i Norge under situasjonen med utbruddet og spredningen av covid-19 og gir ferjeselskapet adgang til å billettere alle trafikanter ved registrering av kjøretøyets AutoPASS-brikke eller kjennemerke. Den midlertidige loven inneholder også bestemmelser om behandling av personopplysninger, herunder behandlingsgrunnlag. Loven og dens ordning med billettering på ferje er omtalt i Prop. 114 L (2019–2020) og Innst. 290 L (2019–2020).
Hva gjelder hjemmelsgrunnlaget og forholdet til reguleringen av behandling av personopplysninger i medhold av yrkestransportloven, vises til Prop. 114 L (2019–2020) pkt. 2.3.
3.4.1.1 Statens vegvesens behandlingsgrunnlag
Statens vegvesen er behandlingsansvarlig for behandling av nødvendige personopplysninger på ferjeområdet i henhold til midlertidig lov om billettering på ferje §§ 5 og 6. Departementet vurderer at behandlingsgrunnlaget er knyttet til myndighetsutøvelse, jf. personvernforordningen artikkel 6 nr. 1 bokstav e. Departementet viser i denne forbindelse til forarbeidene til midlertidig lov om billettering på ferje inntatt i Prop. 29 L (2020–2021).
Nevnte behandlingsgrunnlag i personvernforordningen artikkel 6 nr. 1 bokstav e er todelt. Det gjelder for det første i de tilfeller en virksomhet kan behandle personopplysninger fordi det er nødvendig for å utføre en oppgave i allmennhetens interesse. Videre gir bestemmelsen adgang til behandling av personopplysninger der dette er nødvendig for å utøve offentlig myndighet som den behandlingsansvarlige er pålagt.
Departementet mener at følgende overordnede forhold taler for at Statens vegvesen er og skal være behandlingsansvarlig for sentrale behandlingsaktiviteter innenfor AutoPASS for ferje:
Statens vegvesen har sektoransvar for å følge opp nasjonale oppgaver for hele veitransportsystemet.
Behandling av personopplysninger er i stor grad nødvendig for å gjennomføre billettering på ferjene i samsvar med takstregulativ vedtatt med hjemmel i yrkestransportloven.
Statens vegvesen er myndighetsorgan, herunder:
veimyndighet for riksveiene.
løyvemyndighet for turvognløyver og løyve for godstransport på vei, samt riksveiferjesamband, og tildeler rett til drift av riksveiferjesamband.
Statens vegvesen er gitt ansvaret for å opprette sentrale systemløsninger, herunder AutoPASS IP og AutoPASS HUB. AutoPASS HUB er direkte relevant for ferje.
Statens vegvesen har inngått avtale med Sentral Tjenesteleverandør om nasjonale tjenesteløsninger for ferje, med tilhørende databehandleravtale.
3.4.1.2 Ferjeselskapenes behandlingsgrunnlag
Ferjeselskapenes behandlingsgrunnlag for behandling av personopplysninger i forbindelse med billettering på ferje er artikkel 6. nr. 1 bokstav e, det vil si å utføre oppgaver i allmennhetens interesse. Midlertidig lov om billettering §§ 5 og 6 er supplerende rettsgrunnlag.
3.4.1.3 Utsteders behandlingsgrunnlag
Enkelte av personopplysningene som behandles av AutoPASS-utsteder følger av personvernforordningen artikkel 6 nr. 1 bokstav b (nødvendig for å oppfylle avtale).
Øvrig behandling av personopplysninger i og med AutoPASS Samvirke, herunder behandling av personopplysninger for billettering på ferje, følger etter departementets vurdering av personvernforordningen artikkel 6 nr. 1 bokstav c, med videre henvisning til den rettslige forpliktelse som følger av utstederforskriften. I denne sammenheng vises det særlig til utstederforskriften §§ 6 og 20.
3.4.1.4 Sentral Tjenesteleverandørs behandlingsgrunnlag
Statens vegvesen har inngått avtale med Sentral Tjenesteleverandør som omfatter sentralsystem for ferje. Det følger av dette at Statens vegvesen er behandlingsansvarlig for den behandlingen som finner sted i sentralsystemet for ferje og at Sentral Tjenesteleverandør er databehandler.
I den utstrekning Sentral Tjenesteleverandør selv er behandlingsansvarlig for behandling av personopplysninger på ferjeområdet, er det departementets vurdering at slikt grunnlag følger av personvernforordningen artikkel 6 nr. 1 bokstav b (nødvendig for å oppfylle avtale). Det vises her til den avtale som brukeren inngår med Sentral Tjenesteleverandør i forbindelse med opprettelse av ferjekonto. Dette behandlingsgrunnlaget fremstår som aktuelt for de opplysninger som behandles om brukerne og som faller utenfor de behandlingsaktiviteter som Sentral Tjenesteleverandør gjør på vegne av Statens vegvesen.
3.5 Finansavtaleloven § 38
Finansavtaleloven § 38 tredje ledd gir forbrukeren rett til å gjøre opp med kontanter «hos betalingsmottakeren», og det er naturlig å lese midlertidig lov om billettering på ferje i lys av dette. Det følger av forarbeidene4 til finansavtaleloven § 38 at «hos betalingsmottakeren» skal forstås på samme måte som «forretningsstaden» i gjeldsbrevloven § 3 første punktum.
3.6 Forholdet til veglova og vegtrafikkloven
3.6.1 Veglovas bestemmelser om personvern
Ved gjennomføringen av personvernforordningen i norsk rett ble veglova endret på to områder, både innføring av nytt kapittel II B § 11 f og nytt femte og sjette ledd i § 27. Det vises i denne sammenheng til Prop. 56 LS (2017–2018) kap. 33.2 og 33.3.
Til tross for at veglova er omtalt som en rammelov og har et bredere nedslagsfelt enn yrkestransportloven, vurderer departementet at det er hensiktsmessig å se hen til reguleringene i veglova når det gjelder forslaget til ny § 29 b i yrkestransportloven.
Veglova har en regulering av veimyndighetenes oppgaver knyttet til det offentlige veinettet, som er regulert i kapittel I, III–VI, VIII og IX samt tilhørende forskrifter. Det er en overordnet målsetting for veimyndighetene å skape størst mulig trygg og god avvikling av trafikken, og ta hensyn til veienes naboer, et godt miljø og andre samfunnsinteresser ellers, jf. veglova § 1 a.
3.6.2 Bompenger regnes som betaling for en tjeneste
Bompenger er regulert i veglova § 27. Det følger av bestemmelsen at departementet med samtykke fra Stortinget kan fastsette at det skal kreves bompenger på offentlig vei, fastsette størrelsen på «avgiftene» og sette vilkår om en bestemt bruk av «avgiftsmidlene». Selv om bestemmelsen bruker ordene «avgift» og «avgiftsmidlene», viser departementet til at bompenger regnes som betaling for en tjeneste.
I forarbeidene5 til veglova uttales at bompenger skiller seg «i en rekke høve frå skattar og avgifter, og i utgangspunktet kan mykje tilseie at bompengar heller sjåast på som betaling for ei teneste enn som ein skatt eller avgift.» Departementet viser også til Justisdepartementets vurdering av 5. januar 2007 om bompenger skal defineres som en avgift det skal gis fritak for, eller om dette er å anse som betaling for en tjeneste som Norge dermed ikke er forpliktet til å gi fritak for. Her legger Justisdepartementet til grunn at vurderingen av om bompenger juridisk sett skal anses som en avgift eller som betaling for en tjeneste, må vurderes konkret mot det regelverket spørsmålet knytter seg til. Justisdepartementet uttaler at det trolig «i dag ikke faller så naturlig å anse bompenger som en avgift som det kanskje var for 25 år siden.» Departementet viser også til brev fra Samferdselsdepartementet til Forsvarsdepartementet datert 30. mars 2007 hvor bompenger ble ansett som betaling for en tjeneste og ikke en avgift.
3.6.3 Vegtrafikkloven § 43 b
Vegtrafikkloven § 43 b gir offentlige myndigheter en generell adgang til behandling av personopplysninger (første ledd), adgang til utlevering til politiet (annet ledd), utlevering til utenlandske myndigheter (tredje ledd) og hjemmel til å gi utfyllende bestemmelser i forskrift (fjerde ledd). Bestemmelsen ble foreslått i Prop. 14 L (2018–2019), se også Innst. 178 L (2018–2019).
Vegtrafikkloven § 43 b er et aktuelt sammenligningsgrunnlag i arbeidet med ny generell personvernbestemmelse i yrkestransportloven, jf. også Statens vegvesens høringsnotat 9. juli 2021.